Was ist Datenschutz

Die Frage was ist Datenschutz wird meist mit einer Aufzählung von Pflichten beantwortet. Das ist die Folge, nicht der Kern. Datenschutz schützt nicht Daten – er schützt Menschen davor, dass andere über Informationen über sie verfügen, ohne dass sie es wissen oder beeinflussen können.

Der Ausgangspunkt: informationelle Selbstbestimmung

Das Bundesverfassungsgericht hat 1983 im Volkszählungsurteil das Recht auf informationelle Selbstbestimmung begründet: das Recht jedes Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.

Die Begründung ist bis heute tragfähig. Wer nicht weiß, wer was über ihn weiß, verhält sich anders – vorsichtiger, angepasster. Das trifft nicht nur den Einzelnen, sondern das Gemeinwesen, das auf Menschen angewiesen ist, die sich frei äußern und beteiligen.

Aus diesem Gedanken ist geworden, was heute in Art. 8 der EU-Grundrechtecharta und in der Datenschutz-Grundverordnung steht.

Der Unterschied zur Datensicherheit

Die beiden Begriffe werden ständig vermischt, meinen aber Verschiedenes.

Datensicherheit ist technisch-organisatorisch: Verschlüsselung, Zugriffsschutz, Sicherungen, Verfügbarkeit. Ziel ist, dass Daten nicht verloren gehen, nicht verändert und nicht von Unbefugten gelesen werden – gleich, um welche Daten es geht.

Datenschutz ist rechtlich: Er fragt, ob eine Verarbeitung überhaupt stattfinden darf, zu welchem Zweck, wie lange und mit welchen Rechten der betroffenen Person.

Eine perfekt gesicherte Datenbank kann datenschutzrechtlich unzulässig sein, wenn für ihren Inhalt keine Rechtsgrundlage besteht. Umgekehrt nützt die beste Rechtsgrundlage nichts, wenn die Daten offen im Netz stehen. Beides gehört zusammen – deshalb verlangt Art. 32 DSGVO die Sicherheit als eine Pflicht des Datenschutzrechts.

Was ein personenbezogenes Datum ist

Erfasst ist jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. Der Begriff ist weiter, als die meisten annehmen: Nicht nur Name und Adresse, sondern auch Kundennummer, IP-Adresse, Standortdaten, Fotos, Stimmaufnahmen, das Kennzeichen eines Fahrzeugs und die Bewertung einer Leistung.

Entscheidend ist die Identifizierbarkeit, nicht die Identifizierung. Wenn sich mit vertretbarem Aufwand ein Bezug herstellen lässt, liegt ein personenbezogenes Datum vor – auch dann, wenn Sie diesen Bezug nicht herstellen wollen.

Nicht erfasst sind Daten juristischer Personen und wirklich anonyme Daten. Pseudonyme Daten – bei denen der Bezug über einen Schlüssel wiederherstellbar ist – bleiben personenbezogen.

Die Grundregel: Verbot mit Erlaubnisvorbehalt

Der Aufbau des Rechts ist ungewöhnlich und erklärt vieles: Die Verarbeitung personenbezogener Daten ist untersagt, es sei denn, es gibt eine Erlaubnis.

Die Erlaubnisse zählt Art. 6 DSGVO abschließend auf – Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe, berechtigtes Interesse. Fehlt eine davon, ist die Verarbeitung rechtswidrig, unabhängig davon, wie sinnvoll sie wäre.

Darüber liegen die sieben Grundsätze des Art. 5, an denen sich jede Verarbeitung messen lassen muss.

Wer welche Rolle hat

Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung. Er trägt die Pflichten – das ist Ihr Unternehmen.

Der Auftragsverarbeiter verarbeitet weisungsgebunden für den Verantwortlichen: Hosting-Anbieter, Lohnbuchhaltung, Newsletter-Dienst. Für das Verhältnis braucht es einen Vertrag nach Art. 28.

Die betroffene Person ist diejenige, um deren Daten es geht. Sie hat Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch – zusammengefasst unter Betroffenenrechte.

Was das für ein Unternehmen bedeutet

Praktisch läuft es auf drei Dinge hinaus: wissen, welche Daten Sie zu welchem Zweck verarbeiten – das leistet das Verzeichnis von Verarbeitungstätigkeiten. Begründen können, warum Sie das dürfen. Und belegen können, dass Sie beides getan haben – die Rechenschaftspflicht.

Ob Sie dafür einen Datenschutzbeauftragten benennen müssen, richtet sich nach der Zahl der damit befassten Personen und der Art Ihrer Verarbeitungen. Die Schritte stehen in der Checkliste.

Kontakt

Sie fangen bei null an? Dann ist die Bestandsaufnahme der erste Schritt – und das Erstgespräch kostet nichts.